PHP bereidt een kritieke beveiligingsupdate voor die gepland staat voor 21 oktober 2026, nadat twee kwetsbaarheden zijn geïdentificeerd die beide een CVSS v4-score van 9.2 dragen, waarmee ze in de categorie kritieke ernst vallen. De PHP Foundation kondigde de aankomende release op 20 oktober aan, riep gebruikers op zich onmiddellijk voor te bereiden op de update en waarschuwde dat de fixes eerder kunnen verschijnen dan gepland als exploitdetails openbaar worden of er aanwijzingen voor actieve misbruik ontstaan.

De release staat gepland voor 14:00 UTC, wat overeenkomt met 15:00 BST. Naast de aankondiging van de PHP Foundation heeft het Britse National Cyber Security Centre (NCSC) organisaties opgeroepen kwetsbare systemen te identificeren en zich voor te bereiden om de patches zo snel mogelijk na uitgifte toe te passen. Waar snelle sanering niet mogelijk is, aldus het agentschap, zouden organisaties moeten overwegen getroffen systemen offline te halen totdat de risico's kunnen worden beperkt.

Voorafgaande kennisgeving geeft beheerders een voorbereidingsvenster

De vroege waarschuwing van de PHP Foundation is bedoeld om beheerders tijd te geven zich voor te bereiden voordat de beveiligingsfixes beschikbaar komen. Omdat de release op korte termijn kan worden vervroegd, kan de voorbereiding niet wachten tot de patches zijn gepubliceerd.

PHP, of PHP Hypertextprocessor, is een server-side scripttaal die veel wordt gebruikt voor het bouwen van websites en webapplicaties. Het verwerkt backend-logica, communiceert met databases en genereert dynamische content voordat pagina's naar de browsers van gebruikers worden gestuurd. Die wijdverbreide rol maakt PHP-beveiliging belangrijk voor organisaties die internetgerichte websites en applicaties exploiteren, aangezien kwetsbaarheden in de taal de systemen die ervan afhankelijk zijn kunnen blootstellen, afhankelijk van de aard van de fouten en hoe exploiteerbaar ze blijken te zijn.

Het NCSC raadt aan elk systeem waarop PHP draait binnen de infrastructuur van een organisatie te identificeren, waarbij internetgerichte systemen voorrang krijgen omdat ze direct vanaf buiten de organisatie bereikbaar zijn. Beheerders moeten deze systemen ook monitoren op verdachte activiteit en de officiële PHP-richtlijnen volgen. Het agentschap adviseert verder om updates van externe leveranciers wier producten of diensten PHP bundelen blijvend te volgen.

De PHP Foundation deelde zijn voorafgaande kennisgeving op X:

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Hoe de update website-exploitanten kan beïnvloeden

De geplande release creëert een onmiddellijk voorbereidingsvenster voor beveiligingsteams, hostingproviders en applicatie-exploitanten. Zodra de patches beschikbaar komen, moeten beheerders getroffen systemen beoordelen en de juiste updates onmiddellijk installeren.

De PHP Foundation heeft ook gebruikers gewaarschuwd die afhankelijk zijn van de door vrijwilligers onderhouden Remi RPM-repository dat updates daar op de releasedag niet beschikbaar zullen zijn. Het raadt aan over te schakelen op distributiepakketten of PHP vanaf de bron te bouwen om de fixes onmiddellijk toe te passen. De waarschuwing is belangrijk voor exploitanten wier patchprocessen afhankelijk zijn van die repository, omdat hun vermogen om snel te updaten kan afhangen van vooraf regelen van een alternatieve installatiemethode.

Het NCSC raadt bovendien aan systemen offline te halen wanneer directe sanering niet haalbaar is. Die voorzorgsmaatregel kan de blootstelling verminderen terwijl beheerders werken aan een volledige oplossing, hoewel dit de beschikbaarheid van de website kan verstoren.

Voor cryptobedrijven, exchanges en walletproviders die op PHP gebaseerde infrastructuur draaien, gelden dezelfde voorbereidingsprincipes. El getroffen dienst kan te maken krijgen met beveiligingsrisico's als beheerders de sanering uitstellen nadat de patches beschikbaar zijn gekomen. De directe prioriteit is voorbereiding, gevolgd door snel patchen en voortgezette monitoring.

Totdat de beveiligingsrelease arriveert en de technische details openbaar worden, moeten beheerders de officiële richtlijnen van de PHP Foundation en het NCSC volgen in plaats van aan te nemen welke systemen kwetsbaar zijn.

Dit artikel is gebaseerd op berichtgeving van Blockonomi.